Google SAM과 Stanford DeLM — 에이전트 P2P 망의 킬스위치와 보안 위협

클라우드와 온프레미스를 넘나드는 멀티 에이전트 환경에서, 중앙 오케스트레이터 없이 에이전트끼리 직접 통신하는 P2P 아키텍처가 새로운 대안으로 떠오르고 있습니다. 최근 구글 엔지니어들이 공개한 소버린 에이전트 메쉬(Sovereign Agent Mesh, 이하 SAM) 프로젝트와 스탠포드 대학교의 분산형 언어 모델(Decentralized Language Model, 이하 DeLM) 연구는 이러한 흐름을 이끄는 대표적인 오픈소스 아키텍처입니다. 하지만 이 새로운 분산형 구조는 인프라 병목을 해결하는 대신, 중앙 통제망의 원격 킬스위치 논란과 데이터 오염 위험, 그리고 제로 트러스트 검증 사이에서 심각한 아키텍처적 타협을 요구합니다.

Google SAM: '주권' 없는 주권 망과 원격 킬스위치 논란

최근 구글 엔지니어들이 공개한 SAM은 P2P 방식으로 에이전트 간 보안 터널을 제공하며 주목받았지만, 내부 소스 코드 분석을 통해 중앙 집중형 통제 장치와 원격 킬스위치의 존재가 드러나며 거센 거버넌스 논란에 휩싸였습니다. libp2p와 Biscuit 토큰을 결합해 무설정 암호화 터널을 뚫고 MCP 도구를 유연하게 공유할 수 있는 혁신적인 오버레이 메커니즘을 제시했음에도, 그 아래에 설계된 중앙 통제 로직은 분산망이라는 명칭을 무색하게 만듭니다.

theCUBE Research가 공개한 아키텍처 분석 결과를 보면, 제어 평면의 관리자 API 경로인 POST /admin/revoke를 통해 특정 노드를 강제 종료하는 메커니즘이 소스 코드 수준에서 확인됩니다. 로컬 노드가 주기적인 핸드셰이크를 요청할 때 차단 목록에 포함되어 있으면, 제어 평면은 403 에러를 반환하고 수신한 로컬 데몬 프로세스는 즉시 자체 종료하도록 구성되어 있습니다.

이에 더해 암호화 자격 증명 역할을 하는 Biscuit 토큰의 수명이 엄격한 24시간 만료 기한으로 묶여 있는 것도 치명적인 거버넌스 위협입니다. 만약 중앙 제어 평면과의 통신이 하루만 끊겨도, 로컬 노드는 갱신 실패 로그를 남기며 프로세스를 강제로 중단하는 자가 파괴 로직을 실행합니다. 여기에 라우터와의 연결이 단 3분만 두절되어도 노드가 정지하는 제약 사항까지 더해져, 네트워크 불안정이나 네트워크 단절 상황에서 자율적인 P2P 네트워크의 복원력을 기대하기 어렵습니다.

결국 기본 퀵스타트 가이드가 안내하는 퍼블릭 테스트넷 망에 의존해 에이전트 망을 구성하는 백엔드 및 인프라 엔지니어는 단일 제어 권한에 완벽히 종속되는 인프라 위험을 안게 됩니다. 이는 P2P 메시가 추구하는 에이전트의 온전한 주권과 정면으로 대치되므로, 보안 경계와 자율성이 중요한 엔터프라이즈 환경일수록 퍼블릭 망을 완전히 차단하고 자체 제어 평면을 수립하는 DIY 자가 호스팅 설계가 필수적이라는 점을 증명합니다.

Stanford DeLM: 오케스트레이터 없는 협업과 '공동 메모리'의 보안 경계

스탠포드 대학 연구진이 공개한 DeLM은 중앙 오케스트레이터 없이 공유 컨텍스트와 태스크 큐를 통해 에이전트가 비동기식으로 협업하는 분산형 아키텍처입니다. 개별 에이전트는 독립적으로 태스크를 할당받아 처리한 뒤, 원본 실행 로그 대신 핵심 내용만 압축한 지스트(Gist)를 공유 컨텍스트에 기록합니다. 불필요한 통신 병목과 중복 추론을 없앰으로써, 기존 다중 에이전트 시스템 대비 지연 시간과 추론 비용을 최대 50%까지 절감하는 성과를 증명했습니다.

하지만 이 효율적인 '공동 메모리' 모델은 모든 참여 노드가 단일 신뢰 도메인에 속해 있다는 가정을 전제로 작동합니다. 모든 에이전트가 공유 컨텍스트를 직접 읽고 쓰기 때문에, 하나의 에이전트라도 악의적으로 변질되거나 하이재킹당하면 네트워크 전체로 위협이 확산됩니다. 공격자가 공유 태스크 큐에 비정상적인 작업을 주입하거나 왜곡된 지스트를 입력하면, 다른 에이전트들이 이를 정상적인 진행 상황으로 신뢰하고 연쇄적으로 잘못된 동작을 수행하는 태스크 인젝션 공격에 무방비하게 노출됩니다.

DeLM은 이를 방지하기 위해 데이터를 공유 컨텍스트에 쓰기 전에 신뢰성을 확인하는 승인 단계 검증(Admission-Time Verification)을 거치도록 설계되었습니다. 그러나 현재의 검증 모델은 에이전트 자체의 판단 정합성만 검토할 뿐, 해당 노드의 서명이나 정당한 쓰기 권한 유무를 암호학적으로 확인하지 않습니다. 따라서 오케스트레이터가 없는 분산 환경에서 안전한 보안 경계를 구축하려면, 정보의 출처를 증명하고 개별 노드의 권한을 세밀하게 제어하는 탈중앙화된 토큰 체계 도입이 요구됩니다.

실전 인프라 적용: DIY 모드 자가 호스팅과 Biscuit 검증 도입

개발자가 P2P 에이전트 망을 실제 운영 환경에 도입할 때 원격 제어나 강제 종료 리스크를 배제하려면, SAM의 기본 공개 메시 서비스 대신 'DIY 모드'를 선택해 제어 평면을 사내 인프라에 직접 호스팅해야 합니다. 중앙 서버를 거치지 않고 기업 내부망이나 격리된 사설 클라우드 환경에 독자적인 중계 노드를 구축하면, 외부 공급업체에 의한 통제 리스크를 확실히 차단할 수 있습니다. 이는 기본 퍼블릭 클라우드 제어 평면에 의존할 때 발생하는 거버넌스 종속 문제를 해결하는 실질적인 방안입니다.

중앙 오케스트레이터가 없는 DeLM 같은 분산 협업 구조에서는 개별 에이전트 노드 단위의 정밀한 보안 통제가 더욱 중요합니다. 이를 위해 libp2p로 암호화 터널을 연결하는 동시에, 각 노드에 비대칭 키 기반의 Biscuit 토큰 검증 시스템을 결합해야 합니다. Biscuit 토큰은 중앙 서버의 도움 없이도 토큰 자체에 권한 제한 규칙을 유연하게 덧붙여 하위 토큰을 발급할 수 있는 암호학적 감쇠 기능을 지원합니다.

이를 활용하면 에이전트가 다른 노드를 호출할 때 허용되는 도구 범위와 데이터 접근 권한을 런타임에 가장 좁은 수준으로 격리할 수 있습니다. 수신 노드는 오프라인 상태에서도 자체 비대칭 키로 토큰의 서명과 제약 조건을 독립적으로 검증하므로, 분산 네트워크 전체에 상태 비저장 방식의 제로 트러스트 보안을 즉각적으로 구현할 수 있습니다.

마치며: 제어 평면의 주도권을 직접 쥐는 방법

AI 에이전트 네트워크가 기존의 중앙 집중식 API 게이트웨이에서 벗어나 로컬 퍼스트 기반의 P2P 메쉬 구조로 진화하고 있습니다. 분산형 구조는 인프라 병목을 해결해 주지만, 동시에 통제권 상실이라는 새로운 아키텍처적 고민을 던집니다. 개발자는 분산 구조가 지닌 정보 오염의 위험성과 편리함 뒤에 숨은 원격 통제 리스크 사이에서 명확한 균형점을 찾아야 합니다.

SAM과 DeLM이 보여준 한계처럼, 단순히 분산 프로토콜을 도입하는 것만으로는 완전한 주권과 보안을 보장할 수 없습니다. 진정한 자율성을 확보하려면 개발자가 직접 제어 평면을 사내 인프라에 자가 호스팅하고, Biscuit과 같은 토큰 기반의 정밀한 접근 제어를 구현해야 합니다. 인프라의 블랙박스 영역을 줄이고 제어의 주도권을 직접 통제할 때만 안전한 에이전트 망을 완성할 수 있습니다.